Συντομότερη διάρκεια ισχύος των πιστοποιητικών Let's Encrypt: τι σημαίνει αυτό για εσάς;
Το Let's Encrypt είναι ο δωρεάν εκδότης πιστοποιητικών που χρησιμοποιούν οι περισσότεροι ιστότοποι, και στη WebOké. Ένα πιστοποιητικό του Let's Encrypt ισχύει σήμερα για 90 ημέρες. Η διάρκεια αυτή θα μειωθεί, και το Let's Encrypt δεν στέλνει πλέον email υπενθύμισης όταν ένα πιστοποιητικό πλησιάζει τη λήξη του. Εδώ θα διαβάσετε τι αλλάζει και τι πρέπει να κάνετε.
Τι αλλάζει
| Ημερομηνία | Τι |
|---|---|
| 4 Ιουνίου 2025 | Το Let's Encrypt σταματά να στέλνει email για πιστοποιητικά που λήγουν. |
| 13 Μαΐου 2026 | Όσοι το επιλέξουν οι ίδιοι (το προφίλ tlsserver) λαμβάνουν πιστοποιητικά 45 ημερών. |
| 10 Φεβρουαρίου 2027 | Το προεπιλεγμένο προφίλ εκδίδει πιστοποιητικά 64 ημερών. |
| 16 Φεβρουαρίου 2028 | Το προεπιλεγμένο προφίλ εκδίδει πιστοποιητικά 45 ημερών. |
Επίσης, ένας επιτυχής έλεγχος του domain σας θα διατηρείται για μικρότερο διάστημα: από τον Φεβρουάριο του 2027 για δέκα ημέρες, από τον Φεβρουάριο του 2028 μόνο για επτά ώρες. Αυτό θα το παρατηρήσετε κυρίως αν ζητάτε ένα πιστοποιητικό χειροκίνητα μέσω μιας εγγραφής DNS: τότε θα πρέπει να επαναλαμβάνετε αυτό το βήμα πιο συχνά.
Με αυτόν τον τρόπο το Let's Encrypt ακολουθεί τους κανόνες του CA/Browser Forum, οι οποίοι ισχύουν για όλους τους εκδότες. Ένα πιστοποιητικό με μικρότερη διάρκεια ισχύος περιορίζει τη ζημιά αν κάτι πάει στραβά, για παράδειγμα αν διαρρεύσει ένα κλειδί. Η συνέπεια για εσάς: η χειροκίνητη ανανέωση δεν αποτελεί πλέον επιλογή. Πρέπει να γίνεται αυτόματα, και πρέπει οι ίδιοι να παρακολουθείτε ότι πετυχαίνει.
Στο hosting πακέτο σας: δεν χρειάζεται να κάνετε τίποτα
Σε ένα hosting πακέτο, το DirectAdmin ζητά το πιστοποιητικό και το ανανεώνει αυτόματα. Για αυτό δεν χρειάζεται να αλλάξετε τίποτα. Ωστόσο, το domain σας πρέπει να συνεχίσει να δείχνει στον server μας, επειδή το Let's Encrypt ελέγχει ξανά κατά την ανανέωση αν ισχύει αυτό. Δείτε Ενεργοποίηση, ανανέωση και επίλυση προβλημάτων πιστοποιητικού SSL.
Μέχρι πότε ισχύει το πιστοποιητικό σας μπορείτε να δείτε με το εργαλείο Υγεία domain. Αν λήγει εντός 14 ημερών, το εργαλείο θα σας ενημερώσει ότι η ανανέωση καθυστερεί. Σε αυτή την περίπτωση, ελέγξτε στο DirectAdmin, στην ενότητα SSL Certificates, αν υπάρχουν αποτυχημένοι έλεγχοι.
Χρησιμοποιείτε ένα πιστοποιητικό και εκτός του πακέτου σας, για παράδειγμα επειδή το αντιγράφετε χειροκίνητα σε άλλη συσκευή ή άλλη υπηρεσία; Τότε σύντομα θα πρέπει να το κάνετε κάθε λίγες εβδομάδες. Είναι προτιμότερο να αφήσετε τη συσκευή ή την υπηρεσία να ζητά η ίδια πιστοποιητικό.
Σε VPS: τη ρύθμιση και τον έλεγχο τα αναλαμβάνετε εσείς
Σε ένα VPS ρυθμίζετε μόνοι σας την ανανέωση, με το certbot, το Caddy ή τον ACME client του λογισμικού σας. Δείτε nginx με πιστοποιητικό του Let's Encrypt και Caddy: ένας ιστότοπος με αυτόματο https. Με το certbot ελέγξτε τα εξής:
- Ελέγξτε αν ο timer για την ανανέωση υπάρχει και εκτελείται:
systemctl list-timers 'certbot*'
- Κάντε μια δοκιμαστική ανανέωση. Αυτή δεν ζητά πραγματικό πιστοποιητικό:
sudo certbot renew --dry-run
Αν ολοκληρωθεί με μήνυμα ότι όλες οι προσομοιώσεις πέτυχαν, τότε η ανανέωση λειτουργεί. - Φορτώνει ο web server σας και το νέο πιστοποιητικό; Με το plugin για nginx, το certbot το φροντίζει μόνο του. Αν χρησιμοποιείτε
certbot certonly, ορίστε ένα deploy hook που επαναφορτώνει τον web server σας. - Διατηρείτε τον ACME client σας ενημερωμένο μέσω του αποθετηρίου πακέτων. Το Let's Encrypt συνιστά το ARI (ACME Renewal Information): με αυτό, το ίδιο το Let's Encrypt υποδεικνύει πότε πρέπει να ανανεωθεί ένα πιστοποιητικό.
Έχετε δημιουργήσει δικό σας script ή γραμμή cron που ανανεώνει, για παράδειγμα, κάθε 60 ημέρες; Αυτό θα αποτύχει μόλις τα πιστοποιητικά αποκτήσουν μικρότερη διάρκεια ισχύος. Αφήστε τον client να αποφασίζει μόνος του πότε είναι η ώρα, και ρυθμίστε τον να ελέγχει τουλάχιστον μία φορά την ημέρα.
Το VPS και ό,τι εκτελείται σε αυτό το διαχειρίζεστε εσείς. Εμείς βοηθάμε με το κομμάτι της WebOké: τον πίνακα ελέγχου, το δίκτυο και τα snapshots.
Παρακολουθήστε την ημερομηνία λήξης
Επειδή δεν αποστέλλονται πλέον email υπενθύμισης, το ίδιο το Let's Encrypt συνιστά να παρακολουθείτε αν η ανανέωση πετυχαίνει. Μια υπηρεσία παρακολούθησης που διαβάζει την ημερομηνία λήξης του πιστοποιητικού σας και σας ειδοποιεί όταν απομένουν λιγότερες από 14 ημέρες εντοπίζει εγκαίρως μια ανανέωση που απέτυχε αθόρυβα. Δείτε Παρακολούθηση του ιστοτόπου σας: διαθεσιμότητα, πιστοποιητικό και domain.
Περαιτέρω ανάγνωση
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, στα Αγγλικά)
- Expiration Notification Service Has Ended (Let's Encrypt, στα Αγγλικά)
Θέλετε να μάθετε περισσότερα; Παρακολουθήστε το δωρεάν μάθημα Διαχείριση VPS και διακομιστών Linux, ενότητα 7.3 https με Let's Encrypt.